Signal在安全性和隐私方面享有无与伦比的声誉，得到了美国国家安全局（NSA）举报人爱德华·斯诺登（Edward Snowden）和WhatsApp创始人布莱恩·阿克顿（Brian Acton）的高度认可。

而Cellebrite成立于1999年是一家以色列数字情报公司，提供的工具使组织可以更好地访问，分析和管理数字数据。该公司是日本跨国公司Sunsoft的子公司。该公司在2020年12月早些时间的博客文章中声称已经破解了Signal，但是随即迅速删除了博客文章。

Signal公司随后进行了回应，大体意思是：

• 1.有关Cellebrite Physical Analyzer的任何破解故事都始于你首先要拿到对方设备，并能解锁屏幕。Cellebrite甚至不尝试拦截消息，语音/视频或实时通信，更不用说“破坏该通信的加密”了。他们不进行任何形式的实时监视。
  

• 2.Cellebrite一点不智能。如果有人拿着你的设备并且解锁了你的手机。那么想记录您设备上的内容，则只需打开设备上的每个应用程序并拍摄其中内容的屏幕快照即可。这是Cellebrite Physical Analyzer的工作。它可以自动创建该记录。它实际上还不如有人简单地打开应用程序并手动获取屏幕截图那样可靠。它只是普通的企业软件。

• 3.阅后即焚和一次性查看消息等功能使您可以更短暂地进行交流，并使对话保持足够的安全。

神奇的反破解之路

那么今天为什么再提这个话题，缘起一件神奇的事情。

Signal公司CEO说自己正在路边走着，一个包裹从一个卡车上掉下来。当他捡起来看后吓一跳，正是声称破解他们软件Signal的工具：Cellebrite工具包。

哈哈哈，真假不去评判，凭着战斗民族的特性，你声称能破解我，我好奇卖回来求证下也是可能的，所以这个故事这个图片也可能有摆拍的可能。

且不说东西怎么来的，这位同志拎着这个包来到公司，嘎嘎打开，在这个包内他说找到了Cellebrite软件的最新版本，旨在防止盗版的硬件加密狗，以及数量惊人的电缆适配器。

接下来，他和团队就开始了充满鸡血的研究了。

原文（涉*删减）：

Cellebrite使软件能够自动物理地从移动设备中提取和索引数据。它们存在于灰色世界里-企业品牌与盗窃者一起被称为“数字智能”。他们的客户包括美国，白俄罗斯，俄罗斯，委内瑞拉，孟加拉，缅甸军政府，土耳其，阿联酋等众多国家啊的威权政体。几个月前，他们宣布已在其软件中增加了对Signal的支持。

让我们仔细看看。特别是，他们的软件通常与绕过安全性相关联，因此，让我们花一些时间来检查他们自己的软件的安全性。

首先，涉及Cellebrite的一切都始于其他人将您的设备实际握在手中。Cellebrite不会进行任何类型的数据拦截或远程监视。他们生产两个主要软件（都适用于Windows）：UFED和Physical Analyzer。

UFED将您的设备备份创建到运行UFED的Windows机器上（它本质adb backup上是Android和iPhone上iTunes备份的前端，并进行了一些额外的解析）。一旦创建了备份，Physical Analyzer便会分析备份中的文件，以便以可浏览的形式显示数据。

当Cellebrite宣布他们在软件中添加了对Signal的支持时，真正的意思是他们为Signal所使用的文件格式增加了对Physical Analyzer的支持。这使Physical Analyzer能够显示从Cellebrite用户的物理财产中的未锁定设备中提取的信号数据。

考虑Cellebrite产品的一种方法是，如果有人将您解锁的设备实际握在手中，则他们可以打开所需的任何应用程序并拍摄其中的所有内容的屏幕快照，以备日后使用。Cellebrite实际上可以使手持设备的人自动化该过程。

Cellebrite软件自身有漏洞

熟悉软件安全性的任何人都将立即认识到Cellebrite软件的主要任务是解析许多不同应用程序使用的多种格式的“不可信”数据。也就是说，Cellebrite的软件需要提取和显示的数据最终是由设备上的应用而不是“受信任的”源生成和控制的，因此Cellebrite无法对格式化数据的“正确性”做出任何假设。它只是在接收。但这是实际上所有安全漏洞都源自的空间。

由于几乎所有Cellebrite的代码都存在来解析不受信任的输入，这些输入可能以一种意想不到的方式进行格式化，以利用解析软件中的内存损坏或其他漏洞，因此人们可能会期望Cellebrite极为谨慎。但是，同时查看UFED和Physical Analyzer时，我们惊讶地发现，人们似乎很少注意Cellebrite自己的软件安全性。缺少行业标准的缓解漏洞的防御措施，并且存在许多入侵机会。

仅作为一个示例（与之后的内容无关），它们的软件包捆绑了FFmpeg DLL，这些DLL建于2012年，并且从那时起就没有更新过。那时有一百多个安全更新，没有一个被应用。

FFmpeg漏洞（按年份）

Cellebrite漏洞利用

鉴于存在的机会很多，我们发现只需在设备上的任何应用程序中包含经过特殊格式化但无害的文件，然后将其插入Cellebrite并进行扫描，就可以在Cellebrite机器上执行任意代码。实际上，可以执行的代码没有任何限制。

例如，通过在设备上的应用程序中包含经过特殊格式化但无害的文件，然后通过Cellebrite对其进行扫描，可以执行代码，该代码不仅修改在该扫描中创建的Cellebrite报告，而且还修改所有先前和将来生成的报告Cellebrite以任何任意方式（插入或删除文本，电子邮件，照片，联系人，文件或任何其他数据）从所有先前扫描的设备以及将来所有扫描的设备报告，没有可检测到的时间戳更改或校验和失败。甚至可以随机执行此操作，并且会严重影响Cellebrite报告的数据完整性。

任何应用程序都可以包含这样的文件，并且在Cellebrite能够以极高的信心准确地修复其软件中的所有漏洞之前，Cellebrite用户唯一的补救措施是不扫描设备。Cellebrite可以通过停止更新软件以扫描应用程序来降低其用户的风险，因为它认为此类数据完整性问题的风险很高，但这仍然不能保证。

如果现在和将来，Cellebrite对其在物理提取和其他服务中使用的所有漏洞都采取相同的措施，我们当然愿意负责地向Cellebrite披露我们所知道的特定漏洞。(啪啪打脸还是委婉求合作？)

以下是UFED漏洞利用的示例视频（Physical Analyzer中也存在类似漏洞利用）。在视频中，UFED命中了一个在Cellebrite机器上执行任意代码的文件。该漏洞有效载荷使用MessageBox Windows API在其中显示带有消息的对话框。这是出于演示目的：可以执行任何代码，并且真正的漏洞有效载荷可能会试图以不可检测的方式更改先前的报告，损害未来报告的完整性（可能是随机的！），或从Cellebrite机器中窃取数据。

版权

同样有趣的是，Physical Analyzer的安装程序包含两个捆绑的MSI安装程序包，分别为

AppleApplicationsSupport64.msi

AppleMobileDeviceSupport6464.msi。

这两个MSI程序包由Apple数字签名，并且似乎是从Windows安装程序中提取的iTunes版本12.9.0.167。

物理分析器安装程序将这些MSI软件包安装在中C:\Program Files\Common Files\Apple。它们包含实现iTunes与iOS设备进行交互的功能的DLL。

Cellebrite iOS高级逻辑工具将加载这些Apple DLL，并使用其功能从iOS移动设备中提取数据。下面的屏幕截图显示了在该UFED iPhone Logical.exe进程中加载了Apple DLL ，这是iOS Advanced Logical工具的进程名称。

在我们看来，苹果似乎没有授予Cellebrite许可以在自己的产品中重新分发和合并Apple DLL，因此这可能对Cellebrite及其用户构成法律风险。（揭露法律问题，敲山震虎！）

与本次研究完全无关的消息

在完全无关的新闻中，即将发布的Signal版本将定期获取文件以放置在应用程序存储中。这些文件永远不会用于Signal内部的任何内容，也不会与Signal软件或数据进行交互，但是它们看起来不错，美观在软件中也很重要。对于已经进行了一段时间安装的账户，仅会更新部分文件，并且根据电话号码分片，概率仅会以较低的百分比更新文件。我们提供了一些不同版本的文件，我们认为它们在美学上令人愉悦，并且会随着时间的流逝而缓慢地进行迭代。

微信被爆出存在高危0day漏洞！新版本已修复，看到尽快更新！

湖南电信网络又崩了？疑似遭到境外黑客DDOS攻击，官方回复光缆故障

2021，越自律，越自由！网络安全就业班开班通知！

多一个点在看

多一条小鱼干